リモートホストにインストールされているOpenJDKは、7 <= 7u311 / 8 <= 8u302 / 11.0.0 <= 11.0.12 / 13.0.0 <= 13.0.8 / 15.0.0 <= 15.0.4 / 16.0.0 <= 16.0.2より前です。したがって、2021年10月19日のアドバイザリに記載されている複数の脆弱性の影響を受けます。

注意：Java CVEには常にOpenJDKバージョンが含まれているとは限りませんが、言及されているOpenJDKセキュリティアドバイザリのパッチバージョンを使用してTenableによって個別に確認されます。

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    ライブラリ）。サポートされているバージョンで影響を受けるのは、Java SE：8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、権限の低い攻撃者がKerberosを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。攻撃を成功させるには攻撃者以外の人間の関与が必要です。また、脆弱性が存在するのはJava SE、Oracle GraalVM Enterprise Editionですが、攻撃が他の製品に大きな影響を与える可能性があります。
    この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア6.8（機密性に影響）CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N）。（CVE-2021-35567）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性による攻撃が成功すると、重要なデータに不正にアクセスしたり、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるすべてのデータに完全にアクセスしたりできる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.9（機密性に影響）CVSS Vector: (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N）。（CVE-2021-35550）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    ImageIO）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35586）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    Keytool）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるデータの一部に権限なしで更新アクセス、挿入アクセス、または削除アクセスが行われる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（整合性への影響）
    CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N）。（CVE-2021-35564）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    ユーティリティ）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35561）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35565）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    Swing）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35559）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、信頼できないJava Web Startアプリケーションや信頼できないJavaアプレットを、たとえばWebサービスを介して使用せずに、指定されたコンポーネントのAPIにデータを提供することでのみ悪用される可能性があります。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：
    (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35578）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    Swing）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。容易に悪用できる脆弱性により、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。
    この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、通常サーバーで信頼できるコード（管理者がインストールしたコードなど）のみを読み込んで実行するJavaデプロイメントには存在しません。CVSS 3.1ベーススコア5.3（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L）。（CVE-2021-35556）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    JSSE）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301、11.0.12、17。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者がTLSを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionがアクセスできるデータのサブセットに、権限なしで読み取りアクセスが行われる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア3.7（機密性に影響）CVSS Vector:
    (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N）。（CVE-2021-35603）

  - Oracle Java SEのJava SE、Oracle GraalVM Enterprise Edition製品の脆弱性（コンポーネント：
    ホットスポット）。サポートされているバージョンで影響を受けるのは、Java SE：7u311、8u301。Oracle GraalVM Enterprise Edition：20.3.3および21.2.0です。悪用が難しい脆弱性ですが、認証されていない攻撃者が複数のプロトコルを使用してネットワークにアクセスし、Java SE、Oracle GraalVM Enterprise Editionを侵害する可能性があります。この攻撃が成功するには、攻撃者以外の人物の関与が必要です。この脆弱性に対する攻撃が成功すると、Java SE、Oracle GraalVM Enterprise Editionの部分的なサービス拒否（部分的DOS）が権限なしで引き起こされる可能性があります。注：この脆弱性は、通常、サンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントで信頼できないコード（インターネットからのコードなど）を読み込んで実行し、セキュリティをJavaサンドボックスに依存するJavaデプロイメントが対象です。この脆弱性は、指定されたコンポーネントでAPIを使用することによって（たとえばAPIにデータを提供するWebサービスを通して）悪用される可能性もあります。CVSS 3.1ベーススコア3.1（可用性に影響）。CVSS Vector：(CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:L）。（CVE-2021-35588）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

OpenJDK 7 <= 7u311 / 8 <= 8u302 / 11.0.0 <= 11.0.12 / 13.0.0 <= 13.0.8 / 15.0.0 <= 15.0.4 / 16.0.0 <= 16.0.2複数の脆弱性（2021年10月19日

medium Nessus プラグイン ID 154657

変更ログが見つかりません